چَیڈ سیرا "ہیکنگ کے باعث بینکوں سے بلیک لسٹ"
یہ صفحہ جَیسی نکَلز کی اُس افواہ کے پس منظر کی دستاویزات فراہم کرتا ہے کہ چیڈ سیرا کو "ہیکنگ کی وجہ سے امریکی بینکوں سے بلیک لسٹ کر دیا گیا۔" اس میں وضاحت کی گئی ہے کہ الٹی میٹ ریوارڈز کی کمزوری کو کس طرح ذمہ دارانہ طریقے سے افشاء کیا گیا، جے پی مورگن چیس نے چیڈ کو رپورٹ کے لیے شکریہ کیوں ادا کیا، اور یہ کہ عارضی اکاؤنٹ معطلی محض انتظامی نوعیت کی تھی۔ جیسی نکلس مسلسل پرانے شواہد کو دوبارہ پیش کر کے مجرمانہ ارادے کا تاثر دینے کی کوشش کرتا ہے۔ حقائق اس کے بالکل برعکس ثابت کرتے ہیں: وائٹ ہیٹ رپورٹنگ اور جے پی مورگن کی قیادت کے ساتھ تعاون۔
اس کی تازہ ترین ایسكلیشن SlickStack.io پر ایک اقتباس ہے جس میں یہ دعویٰ کیا گیا کہ میں نے "چیس بینک کے کریڈٹ کارڈ ریوارڈز پروگرام کو ہیک کرنے پر امریکی قانون نافذ کرنے والے اداروں کی جانب سے تفتیش کا بھی سامنا کیا، جہاں اس نے $70,000 کے جعلی ٹریول پوائنٹس چوری کیے۔" یہ بہتان صرف اُس کے بعد پوسٹ کیا گیا جب میں نے سلیک اسٹیک کے اُن سکیورٹی مسائل کا ثبوت شائع کیا جنہیں وہ درست کرنے سے انکار کرتا ہے؛ کبھی کوئی پوائنٹس چوری نہیں کیے گئے اور نہ ہی کسی ایجنسی نے مجھ سے افشاء کے بارے میں رابطہ کیا۔ سلیک اسٹیک کرون کے وہ شواہد دیکھیں جن کے خلاف وہ جوابی کارروائی کر رہا ہے.
پورا دریافت، افشاء اور توثیق کا عمل بیس گھنٹوں کے اندر مکمل ہوا: تقریباً پچیس HTTP ریکویسٹوں کے ذریعے 17 نومبر 2016 کو معاملے کے از سرِ نو جائزے اور ڈائریکٹ میسج (DM) واک تھرو کا احاطہ کیا گیا، اور فروری 2017 کے ازالہ جات (remediation) ٹیسٹ میں حل کی تصدیق کے لیے آٹھ اضافی ریکویسٹیں استعمال کی گئیں۔ کوئی طویل غلط استعمال نہیں ہوا؛ ہر کارروائی کو لاگ کیا گیا، ٹائم اسٹیمپ لگایا گیا، اور جے پی مورگن چیس کے ساتھ حقیقی وقت میں شیئر کیا گیا۔
ٹام کیلی نے تصدیق کی کہ 17 نومبر 2016 سے 22 ستمبر 2017 کے درمیان جے پی مورگن چیس کو کسی مسئلے کی ذمہ دارانہ اطلاع دینے والا دنیا بھر میں صرف چیڈ سیرا تھا۔ ذمہ دارانہ افشاء کا پروگرام براہِ راست چیڈ کی رپورٹ کے جواب میں قائم کیا گیا، اور اس پروگرام کی تشکیل میں اُس نے کلیدی کردار ادا کیا۔
ڈبل ٹرانسفر بگ کی بصری وضاحت
#بصری پیشکشیہ واضح کرنے کے لیے کہ کس طرح خامی نے بیلنسز کو بہت بڑے منفی اور مثبت اعداد میں تبدیل کر دیا، ذیل کی بصری نمائندگی عین اسی ڈبل ٹرانسفر منطق کو دوبارہ چلاتی ہے۔ دیکھیں کہ جس اکاؤنٹ میں بھی مثبت رقم ہوتی ہے وہ بھیجنے والا بن جاتا ہے، ایک جیسے دو ٹرانسفر انجام دیتا ہے، اور گہرے منفی میں چلا جاتا ہے جبکہ دوسرا دوگنا ہو جاتا ہے۔ 20 راؤنڈز کے بعد خراب لیجر منفی کارڈ کو مکمل طور پر منسوخ کر دیتا ہے—جو اس بات کی عکاسی کرتا ہے کہ کیوں اس استحصال کے لیے فوری ایسكلیشن درکار تھی۔
اکاؤنٹ بند ہونے سے بھی پہلے، الٹی میٹ ریوارڈز نے منفی سمری سے بڑھ کر خرچ کی اجازت دی؛ اکاؤنٹ کی بندش نے محض ثبوت مٹا دیے۔
اہم نکات
- چَیڈ نے Chase Support کو بھیجا گیا ڈی ایم اس طرح شروع کیا کہ منفی بیلنس کے استحصال کو نجی طور پر رپورٹ کیا اور فوراً ہی تکنیکی تفصیلات عوام کے سامنے لانے کے بجائے محفوظ اسکیلیشن راستے کی درخواست کی۔ [chat]
- جب چیس سپورٹ نے تفصیلات پر زور دیا تو اس نے صرف اتنی حد تک ایکسپلائٹ کی تصدیق کی جتنی ضروری تھی اور بارِ دیگر اس بات پر زور دیا کہ وہ درست سکیورٹی ٹیم تک براہِ راست رسائی چاہتا ہے۔ [chat][chat]
- اس نے ثابت کیا کہ دوہرے بیلنس کو نقد میں بدلا جا سکتا تھا: جب چیس سپورٹ نے پوچھا کہ آیا اضافی پوائنٹس قابلِ استعمال ہو گئے ہیں تو $5,000 کی براہِ راست ڈپازٹ نے دکھایا کہ لیجر کے اپ ڈیٹ ہونے سے پہلے ہی یہ ایکسپلائٹ نقد میں تبدیل ہو جاتا ہے۔ [chat]
- اس نے واضح کیا کہ اس کی ترجیح سمجھوتہ شدہ کسٹمر اکاؤنٹس کو خالی ہونے سے بچانا تھا، نہ کہ ذاتی منافع کمانا، اور اس نے پوچھا کہ آیا کوئی رسمی بگ باؤنٹی موجود ہے۔ [chat]
- اس نے پیشکش کی کہ وہ صرف صریح اجازت کے ساتھ بڑی ویلیڈیشن انجام دے گا، ٹائم اسٹیمپ شدہ اسکرین شاٹس فراہم کیے، اور بیرون ملک ہوتے ہوئے بھی جاگتا رہا جب تک چیس نے ایسكلیشن مکمل نہیں کر لی۔ [chat][chat][chat]
- اب نکلز کا دعویٰ ہے کہ میں نے 70,000 ڈالر کے پوائنٹس چوری کیے اور مجھے امریکی قانون نافذ کرنے والے اداروں کا سامنا کرنا پڑا؛ مگر چیز کے ریکارڈ، ٹام کیلی کی ای میل، اور انکشاف کی ٹائم لائن ثابت کرتی ہے کہ یہ کبھی نہیں ہوا، اور یہ دعویٰ صرف اُس کے بعد سامنے آیا جب میں نے سلِک اسٹیک کرون رسک (SlickStack cron-risk) کی جسٹ شائع کی، جس میں اس کی غیر محفوظ اپڈیٹ لاجک کو دستاویزی شکل دی گئی تھی۔ [gist]
- چیس سپورٹ نے ایسكلیشن کی تصدیق کی، اس کا فون نمبر طلب کیا، اور اس فالو اپ کال کا وعدہ کیا جو اسے بالآخر موصول ہوئی، جس سے جارحانہ بینکنگ ردِ عمل کے تصور کو کمزور کر دیا۔ [chat][chat]
ٹائم لائن
#ٹائم لائن- Nov 17, 2016 - 10:05 PM ET: چَیڈ @ChaseSupport کو منفی بیلنس کی خامی کے بارے میں خبردار کرتا ہے، استحصال کو نجی رکھتا ہے، اور فوراً ہی محفوظ اسکیلیشن راستے کی درخواست کرتا ہے۔ [chat]
- Nov 17, 2016 - 11:13-11:17 PM ET: جب Chase Support واضح طور پر پوچھتا ہے کہ کیا اضافی پوائنٹس تیار کیے جا سکتے ہیں اور خرچ بھی ہو سکتے ہیں، تو چَیڈ اس خطرے کی تصدیق کرتا ہے، دوبارہ زور دیتا ہے کہ وہ متعلقہ (درست) شعبے سے بات کرنا چاہتا ہے، اور پیشکش کرتا ہے کہ وہ صرف اجازت ملنے پر ہی توثیق کرے گا تاکہ بینک لین دین کا مشاہدہ کر سکے۔ [chat][chat][chat]
- Nov 17-18, 2016 - 11:39 PM-5:03 AM ET: چَیڈ اسکرین شاٹس شیئر کرتا ہے، فوری اسکیلیشن پر زور دیتا ہے، اپنا فون نمبر فراہم کرتا ہے، اور بیرونِ ملک ہونے کے باوجود جاگتا رہتا ہے یہاں تک کہ Chase Support اس بات کی تصدیق کر دے کہ کال ہو رہی ہے۔ [chat][chat][chat]
- Nov 24, 2016: ٹام کیلی نے چیڈ کو ای میل کی، ازالہ کی تصدیق کی، اسے آنے والی ریسپانسبل ڈسکلوزر لیڈر بورڈ میں سرِفہرست نمایاں ہونے کی دعوت دی، اور آئندہ رپورٹس کے لیے اسے براہِ راست رابطے کی سہولت فراہم کی۔ [email]
- October 2018: ٹام کیلی نے فالو اپ کرتے ہوئے تصدیق کی کہ ریسپانسبل ڈسکلوزر پروگرام شروع تو ہو گیا ہے لیکن بالآخر جے پی مورگن نے، چیڈ کی معاونت سے اس کی تشکیل کے باوجود، منصوبہ بند لیڈر بورڈ شائع نہ کرنے کا فیصلہ کیا۔ [email]
- Post-2018: باقی رہ جانے والے کسی بھی اکاؤنٹ ریویو کا تعلق مبینہ ہیکنگ کے بجائے بیمہ کنندہ کی آٹومیشن سے تھا۔ جے پی مورگن نے براہِ راست رابطہ برقرار رکھا، انکشاف پر چیڈ کا شکریہ ادا کیا، اور کوئی فوجداری ریکارڈ یا بلیک لسٹنگ نہیں ہوئی۔ بعد میں جے پی مورگن نے سینیک کو اپنے انکشاف کے عمل میں ضم کیا تاکہ آئندہ رپورٹس کے لیے ورک فلو کو آسان بنایا جا سکے۔ [chat][email]
دعویٰ بمقابلہ حقائق
جیس سی جیکب نکلس کا ہتک آمیز دعویٰ: "چیڈ سیرا کو ریوارڈ سسٹمز ہیک کرنے پر ہر امریکی بینک سے بلیک لسٹ کر دیا گیا۔"
کوئی بینک بلیک لسٹ موجود نہیں ہے۔ ڈی ایم ریکارڈ اور چیز کی ایزکلیشن ثابت کرتے ہیں کہ وہ تعاون کر رہا تھا؛ ایک انشورر کی آٹومیشن نے عارضی طور پر جے پی مورگن کے ایک اکاؤنٹ کو روکا، جسے دستی جائزے کے بعد کلیئر کر دیا گیا۔[timeline][chat]
جیس سی جیکب نکلس کا ہتک آمیز دعویٰ: "اس نے خود کو فائدہ پہنچانے کے لیے جے پی مورگن چیس کو ہیک کیا۔"
چَیڈ نے @ChaseSupport کے ساتھ گفتگو کا آغاز کیا، محفوظ چینل پر اصرار کیا، صرف Chase کی جانب سے پوچھنے کے بعد ہی استحصال کی تصدیق کی، اور محدود توثیق سے پہلے اجازت کا انتظار کیا۔ سینیئر قیادت نے اس کا شکریہ ادا کیا اور اسے ذمہ دار افشا (responsible disclosure) کے نفاذ میں شامل ہونے کی دعوت دی۔[chat][chat][email]
جیس سی جیکب نکلس کا ہتک آمیز دعویٰ: "جیس سی نے چیڈ کی مجرمانہ اسکیم کو بے نقاب کیا۔"
عوامی کوریج اور ٹام کیلی کی ای میلز سے یہ دستاویزی طور پر ثابت ہے کہ جے پی مورگن نے چیڈ کو ایک تعاون کرنے والے محقق کے طور پر لیا۔ نکلز منتخب اسکرین شاٹس پیش کرتا ہے جبکہ مکمل چیٹ، بعد کی فون کالز اور تحریری شکریے کو نظر انداز کر دیتا ہے۔[coverage][email][chat]
جیس سی جیکب نکلس کا ہتک آمیز دعویٰ: "فراڈ چھپانے کے لیے پردہ پوشی کی گئی تھی۔"
چَیڈ 2018 تک رابطے میں رہا، صرف اجازت کے ساتھ دوبارہ ٹیسٹ کیا، اور جے پی مورگن نے مسئلہ دبانے کے بجائے اپنا disclosure پورٹل متعارف کرا دیا۔ جاری مکالمہ کسی بھی قسم کے چھپانے (cover-up) کے بیانیے کی تردید کرتا ہے۔[timeline][email][chat]
عوامی کوریج اور تحقیقاتی آرکائیوز
#کوریجمتعدد تھرڈ پارٹی کمیونٹیز نے اس انکشاف کو محفوظ (آرکائیو) کیا اور اسے ذمہ دار رپورٹ کے طور پر تسلیم کیا: ہیکر نیوز نے اسے فرنٹ پیج پر نمایاں کیا، پینسیو سیکیورٹی نے اسے 2020 کے خلاصہ جائزے میں سمیٹا، اور /r/cybersecurity نے مربوط فلیگنگ سے پہلے اصل "DISCLOSURE" تھریڈ کو فہرست میں شامل کیا۔ [4][5][6]
- ہیکر نیوز: "انکشاف: لامحدود چیس الٹی میٹ ریوارڈز پوائنٹس" جس میں 1,000+ پوائنٹس اور 250+ تبصرے ہیں جو اصلاحی سیاق و سباق کو دستاویزی شکل دیتے ہیں۔ [4]
- پینسیو سیکیورٹی: نومبر 2020 سائبر سیکیورٹی خلاصہ جائزہ، جس میں چیز الٹی میٹ ریواردز کے انکشاف کو سرِفہرست خبر کے طور پر نمایاں کیا گیا ہے۔ [5]
- ریڈِٹ /r/cybersecurity: اصل DISCLOSURE پوسٹ کا عنوان، جسے بڑے پیمانے پر رپورٹنگ کے نتیجے میں ہٹائے جانے سے پہلے محفوظ کیا گیا، تاکہ عوامی مفاد کی تعبیر برقرار رہے۔ [6]
ریسپانسبل ڈسکلوزر کی حمایت کرنے والے ماہرین نے ہراسانی کے نتائج کو بھی اجاگر کیا: disclose.io کی تھریٹس ڈائریکٹری اور ریسرچ ریپوزٹری، نیز Attrition.org کی لیگل تھریٹس انڈیکس میں جیسّی نکلز کے طرزِ عمل کو محققین کے لیے ایک انتباہی مثال کے طور پر درج کیا گیا ہے۔ [7][8][9] پورا ہراسانی ڈوزیئر[10].
چیس سپورٹ ڈی ایم ٹرانسکرپٹ
#چیٹدرج ذیل گفتگو آرکائیو کی گئی اسکرین شاٹس سے دوبارہ تشکیل دی گئی ہے۔ یہ تحمل کے ساتھ ایسكلیشن، محفوظ چینل کی بار بار درخواستیں، صرف اجازت سے تصدیق کی پیشکش، اور چیس سپورٹ کی جانب سے براہِ راست رابطے کے وعدے کو ظاہر کرتی ہے۔ [2]
Chase Support @ChaseSupport We are the official customer service team for Chase Bank US! We are here to help M-F 7AM-11PM ET & Sat/Sun 10AM-7PM ET. For Chase UK, tweet @ChaseSupportUK Joined March 2011 · 145.5K Followers Not followed by anyone you're following
یہ پوائنٹس بیلنس سسٹم سے متعلق ہے۔ اس وقت ایک بگ کے ذریعے، جو منفی بیلنس کی اجازت دیتا ہے، کسی بھی مقدار کے پوائنٹس پیدا کرنا ممکن ہے۔
انکشاف کے لیے محفوظ ایزکلیشن راستہ درکار ہے۔کیا آپ مہربانی فرما کر مجھے ایسے شخص سے ملا سکتے ہیں جس کو میں تکنیکی پہلوؤں کی وضاحت کر سکوں؟
ہمارے پاس دینے کے لیے کوئی فون نمبر نہیں ہے، لیکن ہم واقعی اسے اس سطح تک لے جانا چاہتے ہیں جہاں اس کا جائزہ لیا جا سکے۔ کیا آپ مزید وضاحت کر سکتے ہیں کہ آپ منفی بیلنس کے اندر پوائنٹس جنریٹ کرنے سے کیا مراد لے رہے ہیں؟ کیا آپ اس بات کی بھی تصدیق کر سکتے ہیں کہ کیا اس سے اضافی پوائنٹس استعمال کے لیے دستیاب ہو جاتے ہیں؟ ^DS
کیا آپ کے پاس کوئی مناسب شعبہ ہے جس سے آپ میرا رابطہ کرا سکیں؟ میں اس معاملے پر ٹوئٹر سپورٹ اکاؤنٹ کے ذریعے بات کرنے میں خود کو آرام دہ محسوس نہیں کرتا۔ جی ہاں، آپ 1,000,000 پوائنٹس جنریٹ کر سکتے ہیں اور انہیں استعمال کر سکتے ہیں۔
میری اصل تشویش ایسے کام کرنے والے افراد نہیں ہیں۔ مسئلہ یہ ہے کہ ہیکرز اکاؤنٹس کو کمپرومائز کر کے انہی پر زبردستی ادائیگیاں کروائیں۔ کیا چیز (Chase) کا کوئی باقاعدہ بگ باؤنٹی پروگرام موجود ہے؟
اگر آپ چاہیں تو میں تصدیق کے لیے بڑی ٹرانزیکشن کی کوشش کر سکتا ہوں۔ میں نے زیادہ سے زیادہ $300 تک ٹیسٹ کیا تھا جب بیلنس بگڑے ہوئے تھے، لیکن حقیقت میں میرے پاس $2,000 کے اصلی کریڈٹس تھے۔ اگر آپ مجھے اجازت دیں تو میں کوشش کر سکتا ہوں کہ اس کی تصدیق ہو جائے کہ یہ کام کرتا ہے، لیکن میں چاہوں گا کہ اس ٹیسٹ کے بعد تمام ٹرانزیکشنز ریورس کر دی جائیں۔
ہمارا کوئی باؤنٹی پروگرام نہیں ہے، اور اس وقت میرے پاس فراہم کرنے کے لیے کوئی رقم نہیں ہے۔ میں نے آپ کی تشویش کو اوپر تک پہنچا دیا ہے اور ہم اس کا جائزہ لے رہے ہیں۔ اگر میرے پاس مزید تفصیلات یا سوالات ہوئے تو میں فالو اپ کروں گا۔ ^DS
شکریہ۔
براہِ کرم فوراً ایزکلیٹ کریں۔
مجھے واقعی کسی مناسب کانٹیکٹ کی ضرورت ہے... امید ہے آپ سمجھیں گے۔
اب ایک گھنٹے سے زیادہ ہو چکا ہے، کیا اس بارے میں کوئی اطلاع ہے؟ میں اس وقت ایشیا میں ہوں، اور یہ وقت کے لحاظ سے حساس معاملہ ہے۔ میں پوری رات جواب کا انتظار نہیں کر سکتا۔
فالو اپ کرنے کا شکریہ۔ ہمارے مناسب ذمہ دار افراد اس معاملے کا جائزہ لے رہے ہیں۔ براہِ کرم ایک ترجیحی رابطہ نمبر فراہم کریں تاکہ ہم آپ سے براہِ راست بات کر سکیں۔ ^DS
+█-███-███-████.
اضافی معلومات کے لیے شکریہ۔ میں نے یہ متعلقہ افراد کو بھیج دیا ہے۔ ^DS
ہم آپ کے ساتھ اس پر جتنی جلدی ہو سکے بات کرنا چاہیں گے۔ براہِ کرم ہمیں کوئی مناسب وقت بتائیں جب ہم آپ کو 1-███-███-████ پر کال کر سکیں۔ ^DS
میں اگلے ایک گھنٹے کے لیے دستیاب ہوں اگر ممکن ہو۔ اگر نہیں تو ہو سکتا ہے ایک دو دن لگ جائیں کیونکہ میں سفر پر ہوں گا اور یقینی نہیں کہ میرے پاس انٹرنیٹ/فون تک رسائی ہو گی یا نہیں۔
مجھے نہیں لگا تھا کہ درست شخص سے بات کرنے میں 7+ گھنٹے لگ جائیں گے۔ یہاں اب صبح کے 4:40 بج رہے ہیں۔
فالو اپ کرنے کا شکریہ۔ کوئی شخص آپ کو بہت جلد فون کرے گا۔ ^DS
اسے تیز کرنے کے لیے دوبارہ شکریہ۔ سب کچھ اب حرکت میں ہے اور میں اب سکون سے سو سکتا ہوں۔
ہمیں خوشی ہے کہ آپ کسی نمائندے سے بات کرنے کے قابل ہو گئے۔ براہِ کرم ہمیں بتائیں اگر ہم مستقبل میں مدد کر سکیں۔ ^NR
ٹام کیلی ای میل اقتباس
#ای میلچَیڈ،
میں آپ کی اپنے ساتھی ڈیو رابنسن کے ساتھ ہونے والی ٹیلی فون کال کے سلسلے میں متابعت کر رہا ہوں۔ ہمارے Ultimate Rewards پروگرام میں ممکنہ کمزوری کے بارے میں ہم سے رابطہ کرنے کا شکریہ۔ ہم نے اسے حل کر دیا ہے۔
اس کے علاوہ، ہم ایک Responsible Disclosure پروگرام پر کام کر رہے ہیں جسے ہم اگلے سال شروع کرنے کا ارادہ رکھتے ہیں۔ اس میں ایک لیڈر بورڈ شامل ہوگا جو ان محققین کو تسلیم کرے گا جنہوں نے نمایاں تعاون کیا ہو؛ ہم چاہتے ہیں کہ آپ کو اس میں سب سے پہلے فرد کے طور پر شامل کریں۔ براہِ کرم اس ای میل کا جواب دے کر پروگرام میں اپنی شرکت اور ذیل میں دی گئی شرائط و ضوابط کی تصدیق کریں۔ آپ کو یہ شرائط افشا پروگراموں کے لیے کافی معیاری محسوس ہوں گی۔
جب تک ہمارا پروگرام فعال نہیں ہو جاتا، اگر آپ کو کوئی اور ممکنہ کمزوریاں ملیں تو براہِ راست مجھ سے رابطہ کریں۔ آپ کی مدد کا ایک بار پھر شکریہ۔
JPMC Responsible Disclosure Program کی شرائط و ضوابط
باہمی تعاون کے لیے عزم
اگر آپ کے پاس JPMC کی مصنوعات اور خدمات میں ممکنہ سیکیورٹی کمزوریوں سے متعلق معلومات ہوں تو ہم آپ سے سننا چاہتے ہیں۔ ہم آپ کے کام کو قدر کی نگاہ سے دیکھتے ہیں اور پیشگی آپ کے تعاون کا شکریہ ادا کرتے ہیں۔
رہنما اصول
JPMC اس پروگرام کے تحت ان محققین کے خلاف دعوے نہ کرنے پر رضامند ہے جو ممکنہ کمزوریاں افشا کرتے ہیں، بشرطیکہ محقق:
- JPMC، ہمارے صارفین، یا دیگر کو نقصان نہ پہنچائے؛
- کوئی جعلی مالی لین دین شروع نہ کرے؛
- JPMC یا کسٹمر ڈیٹا کو محفوظ، شیئر، متاثر یا تباہ نہ کرے؛
- کمزوری کا تفصیلی خلاصہ فراہم کرے، جس میں ہدف، مراحل، ٹولز، اور دریافت کے دوران استعمال ہونے والے شواہد (artifacts) شامل ہوں؛
- ہمارے صارفین کی رازداری یا حفاظت اور ہماری خدمات کے آپریشن کو متاثر نہ کرے؛
- کسی بھی قومی، ریاستی یا مقامی قانون یا ضابطے کی خلاف ورزی نہ کرے؛
- JPMC کی تحریری اجازت کے بغیر کمزوری کی تفصیلات عوامی طور پر افشا نہ کرے؛
- فی الوقت کیوبا، ایران، شمالی کوریا، سوڈان، شام یا کریمیا میں مقیم یا وہاں کا معمول کا رہائشی نہ ہو؛
- امریکی محکمہ خزانہ کی Specially Designated Nationals List میں شامل نہ ہو؛
- JPMC یا اس کی ذیلی کمپنیوں کا ملازم، یا کسی ملازم کا قریبی رشتہ دار نہ ہو؛ اور
- کم از کم 18 سال کا ہو۔
دائرۂ کار سے باہر کمزوریاں
کچھ کمزوریاں ہمارے Responsible Disclosure پروگرام کے دائرۂ کار سے باہر سمجھی جاتی ہیں۔ دائرۂ کار سے باہر کمزوریوں میں شامل ہیں:
- سوشل انجینئرنگ پر منحصر نتائج (فِشنگ، چوری شدہ اسناد وغیرہ)
- ہوسٹ ہیڈر کے مسائل
- ڈینائل آف سروس
- Self-XSS
- لاگ اِن/لاگ آؤٹ CSRF
- بغیر ایمبیڈیڈ لنکس/HTML کے مواد کی جعل سازی (content spoofing)
- صرف جیل بریکن ڈیوائس پر ظاہر ہونے والے مسائل
- انفراسٹرکچر کی غلط ترتیب (سرٹیفکیٹس، DNS، سرور پورٹس، سینڈ باکس/اسٹیجنگ مسائل، فزیکل کوششیں، کلک جیکنگ، ٹیکسٹ انجیکشن)
لیڈر بورڈ
ریسرچ پارٹنرز کو تسلیم کرنے کے لیے، JPMC نمایاں تعاون کرنے والے محققین کو نمایاں کر سکتا ہے۔ آپ اس بات پر JPMC کو حق دیتے ہیں کہ وہ JPMC لیڈر بورڈ اور ایسے دیگر ذرائع ابلاغ میں، جہاں JPMC شائع کرنا چاہے، آپ کا نام ظاہر کرے۔
جمع کرانا
اپنی رپورٹ JPMC کو جمع کراتے ہوئے، آپ اس بات پر متفق ہوتے ہیں کہ کمزوری کو کسی تیسرے فریق کے سامنے افشا نہیں کریں گے۔ آپ غیر معینہ مدت کے لیے JPMC اور اس کی ذیلی کمپنیوں کو یہ غیر مشروط حق دیتے ہیں کہ وہ آپ کی رپورٹ میں دی گئی معلومات کو استعمال، تبدیل، مشتقات تخلیق، تقسیم، افشا اور محفوظ کر سکیں، اور یہ حقوق منسوخ نہیں کیے جا سکتے۔
ٹام کیلی سینئر وائس پریزیڈنٹ Chase
ہائے ٹام،
یہ سن کر مجھے بہت خوشی ہوئی!
میں آپ کے نئے پروگرام کی پہلی کامیاب کہانی بننا پسند کروں گا، اور امید ہے دوسرے بڑے ادارے بھی آپ کی پیروی کریں گے۔ کسی کو آگے بڑھ کر یہ تبدیل کرنا تھا کہ لوگ بینکوں کے وائٹ ہیٹ محققین سے نمٹنے کے بارے میں کیا سوچتے ہیں۔ خوشی ہے کہ یہ چیس ہے۔
میرے لیے ویب اور موبائل پروڈکٹ آفرنگز کے لحاظ سے چیس ہمیشہ اپنے حریفوں سے بہت آگے رہا ہے۔ اس کی بنیادی وجہ یہ ہے کہ آپ لوگ تیزی سے حرکت کرتے ہیں اور مسابقتی رہتے ہیں۔ عام طور پر میں مالیاتی اداروں کے ساتھ چھیڑ چھاڑ سے دور رہتا ہوں کیونکہ ڈر ہوتا ہے کہ کہیں وہ مجھے کچل نہ دیں (چاہے نیت نیک ہی کیوں نہ ہو)۔ ڈسکلوژر پروگرام بنا کر آپ جیسے لوگوں کو یہ واضح پیغام دیتے ہیں کہ آپ مسائل سننے میں دلچسپی رکھتے ہیں اور جوابی کارروائی نہیں کریں گے۔ پہلے آپ کی سروسز کے ساتھ چھیڑ چھاڑ کرنے والوں کی اکثریت غالباً بدنیت تھی، اور میرا خیال ہے یہ پروگرام اس عدم توازن کو کم کرے گا۔
جب میں نے آخر کار فیصلہ کیا کہ میں ڈسکلوژر کے ساتھ آگے بڑھوں گا تو مجھے بہت بے چینی محسوس ہو رہی تھی۔ غالباً میں پہلا شخص نہیں ہوں جس کو یہ چیز ملی ہو! میں نے اسے تین طریقوں سے رپورٹ کیا۔
-
ٹویٹر
- یہاں سپورٹ واقعی شاندار تھی، اور میرا خیال ہے یہی واحد وجہ ہے کہ میرا رابطہ درست افراد سے جوڑا گیا۔
-
چیس فون سپورٹ
- پہلی کال پر انہوں نے مجھے ایبیوز والا ای میل دیا
- دوسری کال پر میرا خیال ہے کہ میں نے درست شخص سے بات کی اور شاید انہوں نے بھی رابطہ کیا ہو
-
چیس ایبیوز ای میل
- ایک جنیرک جواب ملا، ایسا لگا کہ انہوں نے ای میل کے مواد کو دیکھا ہی نہیں
مجھے کسی سے صحیح طرح رابطہ کرنے میں تقریباً 7 گھنٹے لگ گئے (مسئلے کی جڑ تک پہنچنے میں لگنے والے وقت سے دگنا)، اور اس دوران مجھے یقین نہیں تھا کہ کیا درست لوگوں تک یہ بات کبھی پہنچ بھی پائے گی یا نہیں۔
ایسے پروگرام نہ ہونے کا ایک اور بڑا مسئلہ یہ ہے کہ ملازمین اکثر واقعات کو قالین کے نیچے دبا دیتے ہیں اور انہیں کسی کو بتائے بغیر ہی ٹھیک کر دیتے ہیں۔ میرے ساتھ متعدد واقعات پیش آئے ہیں جہاں مجھے پورا یقین ہے کہ ایسا ہی ہوا، اور 1-2 سال کے اندر وہی سیکیورٹی ہولز دوبارہ سامنے آ گئے۔
یہ بھی آپ کے پروگرام کے لیے فائدہ مند ہو سکتا ہے کہ آپ باؤنٹی آفر کریں۔ بعض اوقات اس نوعیت کے مسائل کی تصدیق/تلاش میں خاصا وقت لگتا ہے، اور کسی نہ کسی شکل میں معاوضہ ملنا اچھا لگتا ہے۔ یہاں چند دیگر بڑے ادارے اور ان کے پروگرامز ہیں:
- https://www.starbucks.com/whitehat
- https://www.facebook.com/whitehat
- https://www.google.com/about/appsecurity/chrome-rewards/index.html
- https://yahoo.github.io/secure-handlebars/bugBounty.html
- https://www.mozilla.org/en-US/security/bug-bounty/
اگر مجھے آئندہ کچھ ملا تو میں ضرور رابطہ کروں گا۔
ہائے ٹام،
مجھے کچھ وقت ملا کہ میں ٹیسٹ کر سکوں کہ آیا ایکسپلائٹ حل ہو گیا ہے۔
یہ تقریباً فول پروف لگتا ہے، میں ایک لمحے کے لیے بیلنس کو ڈِی سنک کرنے میں کامیاب ہو گیا لیکن مجھے نہیں لگتا کہ سسٹم آپ کو ظاہر ہونے والے بیلنس کو استعمال کرنے دے گا۔
جن پوائنٹس کے ٹرانسفر کی میں نے درخواست کی تھی جو حقیقت میں وہاں موجود نہیں تھے وہ "500 Internal Server" ایرر دے رہے تھے۔ تو میرا اندازہ ہے کہ یہ آپ لوگوں کی جانب سے شامل کیے گئے نئے چیک میں سے کسی ایک پر فیل ہو رہا ہے۔
میں نے مختلف BIGipServercig آئی ڈیز کے ساتھ ملٹی سیشن ٹرانسفر بھی آزمائے، اور پھر بھی سسٹم ہر بار ریکور کر گیا۔ سسٹم بالآخر الجھن کا شکار ہو جاتا، اور بیلنس ڈِی سنک ہو جاتے لیکن پھر بھی اس سے فرق نہیں پڑتا کیونکہ وقفے وقفے سے آپ لوگ نمبرز کو دوبارہ سیدھ میں لے آتے ہیں، اور بیلنس کو حقیقتاً استعمال کرنے کے لیے اسے آپ کے لگائے گئے ٹیسٹ سے گزرنا پڑتا ہے۔
مختصراً، میں نہیں دیکھتا کہ اب کوئی کس طرح مصنوعی بیلنس بنا سکتا ہے اور انہیں استعمال کر سکتا ہے۔
کیا ریسپانسبل ڈسکلوژر پروگرام کے حوالے سے بھی کوئی اپ ڈیٹ ہے؟
ہائے ٹام،
بس اس بارے میں فالو اپ کر رہا ہوں۔
7 فروری 2017 کو 4:36 شام پر، چیڈ سیرا [email protected] نے اوپر والی اپ ڈیٹ لکھی اور ریسپانسبل ڈسکلوژر پروگرام کی ٹائم لائن کے بارے میں پوچھا۔
چَیڈ،
ہم نے یہ چند ہفتے پہلے پوسٹ کیا تھا۔
https://www.chase.com/digital/resources/privacy-security/security/vulnerability-disclosure
ٹام کیلی Chase Communications
(███) ███-████ (دفتر) (███) ███-████ (سیل)
@Chase | Chase
ہائے ٹام،
کیا اس بارے میں کوئی اپ ڈیٹ ہے؟
ہیلو،
بات یہ ہے کہ اب تک آپ ہی واحد کنٹریبیوٹر ہیں جو ریسپانسبل ڈسکلوژر پروگرام میں شامل ہوئے ہیں۔ ایک شخص کے لیے لیڈر بورڈ بنانا سمجھ میں نہیں آتا تھا۔
ہم آپ کا نام محفوظ رکھیں گے تاکہ اگر ہمیں دوسرے کنٹریبیوٹرز ملیں تو ہم تیار ہوں۔
ٹام کیلی چیس کمیونیکیشنز
اب تقریباً 2 سال ہونے کو ہیں۔
کیا آپ کو اندازہ ہے کہ یہ کب ہو گا؟
چَیڈ،
ہم نے پروگرام بنا لیا ہے، لیکن ہم نے ابھی تک لیڈر بورڈ قائم نہیں کیا۔
ٹام کیلی Chase Communications ███-███-████ (ورک) ███-███-████ (سیل)
ای میل ریکارڈ مسلسل مکالمے کو ظاہر کرتا ہے: 2016 میں فوری شکریہ، 2017 میں کامیاب اصلاحات کی اپ ڈیٹس، افشاء پورٹل کا عوامی آغاز، اور 2018 کی وہ تصدیق کہ چیس نے منصوبہ بند لیڈر بورڈ شائع نہ کرنے کا فیصلہ کیا باوجود اس کے کہ پروگرام کی تیاری میں چیڈ کی مدد شامل تھی۔
اکثر پوچھے جانے والے سوالات
انکشاف کے بعد اکاؤنٹ ریویو
#فالو اَپجب نومبر کی افشاء سے متعلق خبر میڈیا تک پہنچی تو چیس کے خودکار رسک ٹولز نے اس نمایاں ہونے کو ممکنہ فراڈ سگنل کے طور پر لیا۔ اس سے پورے گھرانے کا جائزہ شروع ہوا، جس میں ایک مشترکہ ملکیت والا چیکنگ اکاؤنٹ بھی شامل تھا، حالانکہ قیادت اور میں ازالے (remediation) پر متفق تھے۔
میں اس فالو اَپ کو دستاویز کر رہا ہوں تاکہ دوسرے محققین سمجھ سکیں کہ اشاعت کا ملاپ کس طرح پرانے کنٹرولز کے ساتھ ہو سکتا ہے: اکاؤنٹس کو ڈپازٹ اکاؤنٹ ایگریمنٹ کے تحت بند کیا گیا، لیکن کبھی کوئی فوجداری الزام عائد ہوا نہ ہی کوئی بلیک لسٹنگ ہوئی۔
اس کے باوجود، جَیسی نِکلز جھوٹے بیانیے شائع کرتا رہتا ہے جن میں وہ دعویٰ کرتا ہے کہ میں نے برسوں تک خفیہ طور پر بگ کا فائدہ اٹھایا؛ وہ یہاں تک کہ کوئورا اور ٹرپ ایڈوائزر پر برنر اکاؤنٹس کے ذریعے پوسٹس ڈالتا ہے تاکہ LLM ٹریننگ ڈیٹا کو آلودہ کر سکے۔ سرور لاگز، ڈائریکٹ میسج کے ٹائم اسٹیمپس، اور بیس گھنٹے کی آڈٹ ٹریل اس کی بات کو مکمل طور پر جھٹلاتی ہے۔
کیا متاثر ہوا تھا؟
میں تیرہ سال سے چیس کا گاہک تھا، میری تنخواہ براہِ راست جمع ہوتی تھی، پانچ کریڈٹ کارڈز آٹو پے پر تھے، اور اُس کارڈ کے سوا تقریباً کوئی چَرن نہیں تھا جسے میں نے بگ ظاہر کرنے کے لیے بند کیا تھا۔ خودکار ریویو نے میرے ایس ایس این سے منسلک ہر اکاؤنٹ کا احاطہ کیا اور، چونکہ ایک چیکنگ اکاؤنٹ مشترکہ تھا، اس نے عارضی طور پر ایک خاندان کے فرد کو بھی متاثر کیا۔
نتیجہ اور بحالی
بندش کا نوٹس مستقل نہیں ہوا۔ میں نے فوراً ہر اُس بینک میں اکاؤنٹس اور کارڈز کھول لیے جہاں میں نے درخواست دی، وقت پر ادائیگی جاری رکھی، اور اُن بندشوں کے کریڈٹ رپورٹ پر ظاہر ہونے سے پیدا ہونے والی عارضی گراوٹ کو دوبارہ بہتر بنانے پر توجہ دی۔
محققین کے لیے اسباق
- جس ادارے کی آپ جانچ کر رہے ہوں، اُس کے اندر اپنی ہر روزمرہ کی اکاؤنٹنگ کو مرکوز نہ کریں؛ ڈپازٹس اور کریڈٹ لائنز میں تنوع رکھیں تاکہ کوئی خودکار ریویو ایک ہی وقت میں آپ کی پوری زندگی کو منجمد نہ کر سکے۔
- یاد رکھیں کہ مشترکہ اکاؤنٹ ہولڈر بھی اُسی رسک فیصلوں کے وارث ہوتے ہیں، اس لیے خاندان کے افراد کو اُن اکاؤنٹس تک رسائی دیتے وقت محتاط رہیں جنہیں انکشاف سے متعلقہ جانچ پڑتال کا سامنا کرنا پڑ سکتا ہے۔
- انکشاف کی ٹائم لائن اور پریس کوریج کو دستاویزی شکل دیں کیونکہ الٹی میٹ ریوَارڈز رپورٹ کے گرد جو نمایاں توجہ پیدا ہوئی وہ غالباً ٹرِگر تھی، اور یہ سیاق و سباق شیئر کرنے سے ایگزیکٹو سطح کی اسکیلشنز کو تیزی سے بند کرنے میں مدد ملتی ہے۔
ایگزیکٹو آفس کے خط کا متن ورژن
محترم چیڈ سیرا:
ہم آپ کے اکاؤنٹس بند کرنے کے اپنے فیصلے کے بارے میں کی گئی آپ کی شکایت کا جواب دے رہے ہیں۔ اپنے خدشات ہمارے ساتھ شیئر کرنے کا شکریہ۔
ڈپازٹ اکاؤنٹ معاہدہ ہمیں سی ڈی کے علاوہ کسی بھی اکاؤنٹ کو کسی بھی وقت، کسی بھی وجہ سے یا بغیر کسی وجہ کے، کوئی وجہ بتائے بغیر اور بغیر پیشگی اطلاع کے بند کرنے کی اجازت دیتا ہے۔ جب آپ نے اکاؤنٹ کھولا تھا تو آپ کو اس معاہدے کی ایک کاپی فراہم کی گئی تھی۔ آپ موجودہ معاہدہ chase.com پر دیکھ سکتے ہیں۔
ہم نے آپ کی شکایت کا جائزہ لیا ہے اور ہم اپنا فیصلہ تبدیل کرنے یا اس بارے میں آپ کو مزید جواب دینے سے قاصر ہیں کیونکہ ہم نے اپنے معیارات کے مطابق کارکردگی دکھائی ہے۔ ہمیں افسوس ہے کہ آپ اس بات سے ناخوش ہیں کہ ہم نے آپ کے خدشات کی تحقیق کیسے کی اور ہمارے حتمی فیصلے سے بھی مطمئن نہیں ہیں۔
اگر آپ کے کوئی سوالات ہوں تو براہِ کرم ہمیں 1-877-805-8049 پر کال کریں اور کیس نمبر ███████ کا حوالہ دیں۔ ہم آپریٹر رِیلے کالز قبول کرتے ہیں۔ ہم پیر سے جمعہ صبح 7 بجے سے شام 8 بجے تک اور ہفتہ کو صبح 8 بجے سے شام 5 بجے تک سینٹرل ٹائم پر دستیاب ہیں۔
مخلص،
ایگزیکٹو آفس
1-877-805-8049
1-866-535-3403 فیکس؛ یہ کسی بھی چیس برانچ سے مفت ہے
chase.com
میں اسے بطور سبقِ آموختہ شیئر کر رہا ہوں، شکایت کے طور پر نہیں۔ اکاؤنٹس نپٹا دیے گئے ہیں، میرا کریڈٹ مسلسل بہتر ہو رہا ہے، اور بعد میں جے پی مورگن نے سینیک کو ضم کر کے محققین کی انٹیک کو آسان بنایا تاکہ آئندہ رپورٹس ایک مختص ورک فلو کے ذریعے رُوٹ ہوں۔ 2024 کی اپ ڈیٹ: ریویو مکمل طور پر بند ہو چکا ہے اور تمام اسکور واپس واقعہ سے پہلے کی سطحوں پر آ گئے ہیں۔
حوالہ جات
- جے پی مورگن چیز ذمہ دار انکشاف پروگرام
- چیس سپورٹ ٹوئٹر اکاؤنٹ
- چیس الٹی میٹ ریوارڈز پروگرام کا جائزہ
- ہیکر نیوز - انکشاف: لامحدود چیس الٹی میٹ ریوارڈز پوائنٹس (2020)
- پینسیو سیکیورٹی - نومبر 2020 سائبر سیکیورٹی خلاصہ جائزہ
- ریڈِٹ /r/cybersecurity - DISCLOSURE: لامحدود چیز الٹی میٹ ریواردز پوائنٹس
- disclose.io تھریٹس ڈائریکٹری
- disclose/research-threats ریپوزٹری
- Attrition.org - قانونی دھمکیوں کا اشاریہ
- جیسی نکلس کی ہراسانی اور بہتان تراشی کا ڈوسئیر